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ABSTRACT: 

The invention relates to a method for authenticating a chip card (SIM) in a network for 
transmitting messages, preferably in a GSM network. According to said method, an optionally 
secret algorithm and a secret key are stored in a chip card (SIM). In order to authenticate the 
card, the network or a network component first transmits a random number to the chip card. A 
reply signal is then generated in said chip card using the algorithm, the random number and the 
secret key, and transmitted to the network or network component where the authenticity of the 
card is checked. The authentication message is formed by dividing the secret key and the 
random number transmitted by the network into at least two parts each. A part of the transmitted 
random number and one or more parts of the secret key are encoded with a single or 
multi-stage, preferably symmetrical computation algorithm. A selected part of the product of the 
encoding procedure is transmitted to the network in order to issue an authentication reply. 



BUNDESREPUBLIK © Offenlegungsschrift 

®DE 19820422 A 1 



DEUTSCHLANO 




DEUTSCHES 
PATENT- UND 
MARKENAMT 



® Aktenzeichen: 
<2) Anmeldetag: 
@ Offenlegungstag: 



19820422.1 
7. 5.98 
11.11.99 



® 



Int. CI. 6 : 

H 04 L 9/32 

H 04 L 9/06 
H 04 L 12/22 
G 07 F 7/08 



® Anmelder: 


® Erfinder: 




Giesecke & Devrient GmbH, 81677 Munchen, DE 


Vedder, Klaus, Dr., 80801 Munchen, DE 




® Fur die Beurteilung der Patentfahigkeit in Betracht 




zu ziehende Druckschriften: 




DE 


195 27 715 C2 




DE 


195 27 715 C2 




US 


57 24423 




EP 


08 27 356 A2 




EP 


06 67 691 A2 




EP 


06 54919 A2 




WO 


97 48 208 A1 




WO 


97 15 161 A1 




MUELLER,Kurt H.: Ausgewahrte Sicherheits- und 




Ubertragungsaspekte der modernen 




Kryptographie. 




In: Frequenz, 35, 1981, 2, S.41-46; 




NEUMANN,Clifford B., TS'OJheodore: Kerberos: 




An Authentication Service for Computer Networks. 




In: IEEE Communications Magazine, Sep. 1994, 




S.33-38; 





CM 
CM 
<t 

O 
CM 

00 



Die folgenden Angaben sind den vom Anmelder eingeretchten Unteriagen entnommen 

(Si) Verfahren zur Authentisierung einer Chipkarte innerhalb eines Nachrichtenubertragungs-Netzwerks 

Die Erfindung betrifft ein Verfahren zur Authentisierung 
einer Chipkarte (SIM} in einem Netzwerk zur Nachrichten- 
ubertragung, vorzugsweise in einem GSM- Netzwerk, bei 
dem in einer Chipkarte (SIM) ein gegebenenfalls gehei- 
mer Algorithmus sowie ein geheimer Schlussel gespei- 
chert ist, wobei zur Authentisierung zunachst vom Netz- 
werk Oder einer Netzwerkkomponente eine Zufallszahl an 
die Chipkarte ubertragen wird, in der Chipkarte mittels 
des Algorithmus, der Zufallszahl und des geheimen 
Schlussels ein Antwortsignal erzeugt wird ( das an das 
Netzwerk bzw. die Netzwerkkomponente ubermittelt 
wird, urn dort die Authentizitat der Karte zu iiberprufen. 
GemafS der Erfindung wird zur Bildung der Authentisie- 
rungsnachricht sowohl der geheime Schlussel als auch 
die vom Netzwerk ubertragene Zufallszahl in jewel Is we- 
1 nigstens zwei Teile aufgeteilt, wobei ein Teil der ubertre- 
1 genen Zufallszahl und ein oder me h re re Teile des gehei- 
men Schlussels mittels eines ein- oder mehrstufigen, vor- 
zugsweise symmetrischen Berechnungsalgorithmus ver- 
schlusselt werden. Zur Ausgabe einer Authentisierungs- 
antwortwird ein auswah I barer Teil des Verschlusselungs- 
ergebnisses an das Netzwerk ubertragen. 
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Beschreibung 

Die Erfindung betrifft ein Verfahren zur Authentisierung 
einer Chipkarte in einem Netzwerk zur Nachrichteniibertra- 
gung, vorzugsweise in einem GSM-Netzwerk, nach dem 
Oberbegriff des Anspruchs 1. 

Bei GSM-Systemen ist es hekannt, daB sich zum Ge- 
brauch der Chipkarte (Subscriber Identity Module, SIM) zu- 
nachst der Benutzer iiblicherweise mittels einer personli- 
chen Identifikationsnummer (PIN) als zur Benutzung be- 
rechtigt ausweisen muB. Um an dieser Stelie MiBbrauch zu 
vcrmcidcn, ist cs fur die PIN-Eingabc bckannt, cincn Fch- 
lerzahler vorzusehen, der nach Uberschreiten einer zulassi- 
gen Anzahl von Fehlversuchen den weiteren Gebrauch der 
Karte unterbindet. 

Eirie weitere systemrelevante SicherheitsmaBnahme be- 
steht in der Authentisierung der Karte gegeniiber dem Mo- 
bilfunknetz. Dazu sind in der Karte ein von auBen nicht zu- 
ganglicher geheimer Schliissel sowie ein ebenfalls von au- 
Ben nicht zuganglicher Algorithmus abgelegt Fur eine Au- 
thentisierung wird vom Netzwerk bzw. einer Netzwerkkom- 
ponente eine Zufallszahl erzeugt und der Karte mitgeteilt. 
Aus der Zufallszahl und dem geheimen Schliissel berechnet 
sodann die Karte millels des in der Karte vorhandenen Algo- 
rithmus eine Antwort, welche sie dem Netzwerk mitteilt. 
Diese Anrwort wird im Netzwerk analysiert und es wird, bei 
positivem Ergebnis, Zugang zu den Netzwerkfunktionen er- 
laubL Die cntsprcchcndc Vorgchcnswcisc ist in den cin- 
schlagigen GSM-Spezifikationen beschrieben. 

Fur ein wie vorstehend gesichertes Netz besteht die Ge- 
fahr, daB durch Angriffe auf den zur Authentisierung ver- 
wendeten Algorithmus das Netzwerk beispielsweise in ei- 
nem Computer simuliert werden kann, indem z.B, ausge- 
wahlte "Zufallszahlen" nach dem standard! sierten Protokoll 
an die SIM-Karte ubermittelt werden und daraus, nach 
mehrfachen Authentisierungsversuchen, der Geheimschlus- 
sei der Chipkarte errnittelt wird. Ist zusatzlich der Algorith- 
mus der Karte bekannt, konnen nach Ermitdung des gehei- 
men Schliissel s wesentliche Funktionselemente der Karte si- 
muliert bzw. duplizierl werden. 

Es ist deshalb Aufgabe der Erfindung, ein sicheres \fer- 
fahren zur Authentisierung einer Chipkarte in einem Nach- 
richtensystem anzugeben, bei dem, wie beispielsweise im 
GSM-Nctz iiblich, cine Riickmcldung iibcr das Authcntisic- 
rungsergebnis an die teilnehmende Chipkarte nicht erfolgt. 45 

Diese Aufgabe wird gemaB der Erfindung ausgehend von 
den Merkmalen des Oberbegriffs des Anspruchs 1 durch die 
kennzeichnenden Merkmale des Anspruchs 1 geldst. 

Vorteilhafte Ausgestaltungen der Erfindung sind in den 
abhangigen Anspriichen angegeben. 50 

Die Erfindung sieht vor, zur Bildung der Authentisie- 
rungsnachricht sowohl aus dem geheimen Schliissel als 
auch aus der vom Netzwerk iibertragenen Zufallszahl je- 
weils wenigstens zwei Teile zu bilden, wobei einer der Teile 
der iibertragenen Zufallszahl und einer oder mehrere Teile 55 
des geheimen Schliissels millels eines ein- oder mehrstufi- 
gen, vorzugsweise symmetrischen Berechnungsalgorithmus 
verschliisselt werden. Zur Ausgabe einer Authentisierungs- 
nachricht wird ein auswahlbarer leil des nach dem Authen- 
tisicrungsalgorithmus bcrcchnctcn Ergcbnisscs an das Nctz- 60 
werk iibertragen. 

Eine vorteilhafte Ausgestaltung der Erfindung sieht vor, 
daB in der gleichen Art und Weise auch der Kanalkodie- 
rungsschlussel erzeugt wird, d h. auch dort ist, beispiels- 
weise bei einer Zweiteilung des Schliissels und der Zufails- 65 
zahl vorgesehen, daB entweder der erste oder der zweite Teil 
der iibertragenen Zufallszahl mit dem ersten und/oder zwei- 
ten Teil des geheimen Schliissels mit einem ein- oder mehr- 
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stufigen Algorithmus verkniipft werden, um einen Kanalko- 
dierungsschliissel zu erhalten. Vorzugsweise werden fiir die 
Bildung der Authentisierungsnachricht und des Kanalkodie- 
rungsschliissels jeweils verschiedene Teile der vom Netz- 
5 werk erhaltenen Zufallszahl verwendet. 

Eine weitere vorteilhafte Ausgestaltung der Erfindung 
sieht vor, daB der in der Karte abgelegte geheime Schliissel 
sowie die Zufallszahl, welche vom Netzwerk an die Karte 
gesendet wird, in gleich lange Teile aufgeteilt werden. Da- 
10 mit kann in beiden Fallen der gleiche Berechnungsalgorith- 
mus verwendet werden. Die Aufteilung der Zufallszahl bzw. 
des geheimen Schliissels kann in der Wcisc crfolgcn, daB 
eine einfache Teilung "in der Mitte" erfolgt oder sich uber- 
lappende Teilbereiche entstehen. Ebenso ist eine Teilung 
15 denkbar, in der die Summe der einzelnen Teile kleiner ist als 
die Bit- Lange der Zufallszahl bzw. des geheimen Schliis- 
sels. GemaB einer weiteren Variante konnen nach einem 
vorbestimmten Muster oder pseudozufallig jeweils eine vor- 
gegebene Anzahl von Bits der Zufallszahl bzw. des gehei- 
20 men Schliissels zu jeweils einem Schliissel- bzw. Zufalls- 
zahlenteil zusammengefaBt werden. 

Als weitere vorteilhafte Ausgestaltung der Erfindung 
konnen als Berechnungsalgorithrnen zur Authentisierung 
sowie zur Kanalkodierung DES-Algorithiiien verwendet 
25 werden. 

Eine andere vorteilhafte Variante der Erfindung sieht vor, 
daB zur Berechnung der Authentifizierungsparameter und 
der Kanalkodicrungsschliisscl der vorzugsweise cinstufigc 
IDEA-Algorithmus verwendet wird, 
30 Altemativ konnen zur Berechnung der Authentifizie- 
rungsparameter und der Kanalkodierungsschliissel Kompri- 
mierungsalgorithmen, vorzugsweise kryptografische Kom- 
primierungsalgorithmen verwendet werden, deren Ausgabe- 
werte eine geringere Lange als die Eingabeparameter auf- 
35 weisen. 

Zur Erhohung der Sicherheit ist es vorteilhaft, einen rnin- 
destens zweistufigen Berechnungsalgorithmus zu verwen- 
den, wobei sich ein Triple-DES-Algorithmus als besonders 
sicher erweist. Bei diesem Algorithmus wird zunachst mit 
einem ersten leil des Schliissels und einem Tbil der Zufalls- 
zahl verschliisselt, anschlieBend wird eine Entschliisselung 
des Ergebnisses mit dem zweiten Teil des Schliissels vorge- 
nommen, um schlieBlich wieder mit dem ersten Teil des 
Schliissels cine weitere Berechnung auszufuhrcn. Bei der 
letzten Verschlusselung mit dem ersten Teil des Schliissels 
kann in vorteilhafter Weise, insbesondere bei einer Schlils- 
selaufteilung in drei Schliisselteile, ein neuer, dritter Schliis- 
sel verwendet werden. 

Eine weitere vorteilhafte Ausgestaltung der Erfindung er- 
gibt sich, wenn die Auswahl des ersten oder zweiten Teils 
der Zufallszahl fur die Authentisierung bzw. die Berechnung 
der Kanalkodierung im Wechsel erfolgt, wobei dieser Wech- 
sel zufallig bzw. pseudozufallig ausgefuhrt wird und die 
Auswahl in der Karte und im Netzwerk auf die gleiche 
Weise erfolgt 

Im folgenden wird die Erfindung an Hand der Fig* 1 bis 3 
naher beschrieben. 

Fig. 1 zeigt den Ablauf der kryptographischen Funktio- 
nen des SIM im GSM-Netz. 

Fig. 2 zcigt cin Blockschaltbild der Triple DES- Ver- 
schlusselung. 

Fig. 3 zeigt Beispiele fiir die Aufteilung des geheimen 
Schliissels bzw. der Zufallszahl. 

Bei dem in Fig. 1 dargestellten Ablauf wird vorausge- 
setzt, daB der ubliche, vorhergehende \forgang der PIN-Ve- 
rifizierung abgeschlossen ist. Im AnschluB daran wird von 
der mobilen Einheit, in der sich die Karte SIM befindet, eine 
Nachricht an das Netzwerk gesendet, welche eine IMSI-(in- 
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ternational mobile subscriber identity) Information bzw. 
eine TMSHtemporary mobile subscriber identity) Informa- 
tion enthalt. Aus der IMST bzw. TMSI wird im Netzwerk 
nach einer vorgegebenen Funktion oder mittels einer Tkbelle 
ein geheimer Schlussel K* bestimmt. Derselbe Schlussel ist 
auch in der Chipkarte SIM in einem nicht zuganglichen 
Speicherbereich abgelegt. Der geheime Schlussel wird fur 
die sp&ere Verifizierung des Authentisierungsvorganges be- 
notigt. 

Das Netzwerk initiiert sodann den Authentisierungsvor- 
gang, indem es eine Zufallszahl RAND berechnet und diese 
iibcr die Luftschnittstcllc an die Chipkarte SIM iibcrtragt. 

In der Chipkarte wird daraufhin mittels eines Authentisie- 
rungsalgorithmus aus dem geheimen Schlussel IQ und der 
Zufallszahl RAND ein Authentisterungsparameter SRES 
gebildet, der uber die Luftschnittstelle wiederum an das 
Netzwerk ubertragen wird. ErfindungsgemaB werden hier- 
bei aus der Zufallszahl RAND mindestens zwei Zufallszah- 
len RAND t und RAND2 abgeleitet. Die Zufallszahlen 
RANDi und RAND 2 konnen durch Teilung oder eine Aus- 
wahl aus der Zufallszahl RAND bzw. durch einen Berech- 
nungsalgorithmus gewonnen werden. 

Die Authentisierung erfolgt im Ausfiihrungsheispiel nach 
Fig. 1 mit einem zweisLufigen Algorilhmus. Dabei wird, wie 
in Fig. 1 angedeutet, zunachst der erste Teil der Zufallszahl 25 
RANDi mit einem ersten Teil K t des ebenfalls in zwei Teile 
aufgeteilten Schliissels Kj verschliisselt Das Ergebnis dieser 
crstcn Stufc wird anschlicBcnd in cincr zweiten Stufc mit 
dem zweiten Teil des Schliissels K 2 verschliisselt. Selbstver- 
standlich kann zur Berechnung mit dem Authentisierungs- 30 
agorithmus zunachst auch der zweite Teil der Zufallszahl 
RAND2 verwendet und die Reihenfolge der Verwendung 
der ersten und zweiten Schliisselteile Ki und K2 verandert 
werden. 

Im Netzwerk wird wahrenddessen auf dieselbe Weise wie 35 
in der Karte mittels des Authentisierungsalgorithmus und 
der Zufallszahl RAND (RANDi, RAND 2 ) sowie dem gehei- 
men Schlussel Ki (K ly K 2 ) ebenfalls ein Authentisierungspa- 
rameter SRES' gebildet. Der Parameter SRHS' wird im 
Netzwerk sodann nu t dem von der Karte erhal Lenen Authen- 40 
tisierungsparameter SRES verglichen. Stimmen beide Au- 
thentisierungsparameter SRES 1 und SRES uberein, wird der 
Authentisierungsvorgang erfolgreich abgeschlossen. Stim- 
men die Authcntisicrungsparamctcr nicht uberein, gilt die 
Karte des Teilnehmers als nicht authentisiert Es sei an die- 45 
ser Stelle angemerkt, daB zur Bildung von SRES bzw. 
SRES' auch nur Teile aus dem durch die Verschlusselung er- 
haltenen Ergebnisses verwendet werden konnen. 

In der gleichen Weise wie die Erzeugung der Authenusie- 
rungsparameter erfolgt in der Karte und im Netzwerk die 50 
Generierung eines Schliissels Kc ftir Kanalkodierung fur die 
Daten- und Sprachiibertragung. Vorzugsweise wird dabei 
als Eingangsparameter der bei der Authentisierung nicht 
verwendete Tfeil der Zufallszahl RAND verwendet. 

Fig. 2 zeigt ein vorteilhaftes Ausfuhrungsbeispiel, dem- 55 
gemaB die Berechnung mil dem Authentisierungsalgorith- 
mus und/oder die Kanalcodierung durch einen THple-DES- 
Algorithmus ausgefuhrt wird. Nach diesem Algorithmus 
wird zunachst ein Teil RANDi oder RAND 2 der Zufallszahl 
mit einem crstcn Schliisscltcil Ki verschliisselt. Im nachstcn 60 
Schritt erfolgt eine Entschliisselung mit K 2 . Das Ergebnis 
wird danach wieder mit Ki oder bei einer Aufteilung in 
mehrere Zufallszahlen-ZSchliisselteile mit einem dritten Teil 
des Schliissels verschliisselt. Die Bildung der Kanalcodie- 
rung erfolgt auf die gleiche Weise. Im Netzwerk werden je- 65 
weils die entsprechenden Algorithmen verwendet. 

Ohne Beschrankung der Allgemeinheit wurde bei der Be- 
schreibung der Ausfuhrungsbeispiele gemafi den Fig. 1 und 
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2 von einem zwei- bzw. dreistufigen, syrnmetrischen Ver- 
schliisselungsalgoriuimus ausgegangen. Selbstverstandlich 
kann der Erfindungsgedanke, welcher in der Aufteilung der 
Zufallszahl sowie des geheimen Schliissels besteht, auch 
mit anderen, gangigen Verschliisselungs- bzw. Berech- 
nungsalgorithraen durchgefuhrt werden. Beispielhaft sei 
hier neben den DHS-Algorithmen (A3; A8) FDHA genannL 
Die genannten Algorithmen konnen auch einstufig ausge- 
ftihrt sein, wobei vorzugsweise unterschiedliche Teile des 
Schliissels und/oder der Zufallszahl fiir die Authentisierung 
und die Erzeugung des Kanalkodierungsschliissels Kc er- 
zcugt werden. 

In den Fig. 3a-e sind Beispiele fur mogliche Aufteilun- 
gen des geheimen Schliissels Ki bzw. der Zufallszahl RAND 
angegeben. 

Die Fig. 3a zeigt einen Schliissel IQ bzw. eine Zufallszahl 
RAND mit einer Lange von 128 bit. 

In der Fig, 3b ist eine Aufteilung in zwei gleiche Teile Ki 
und K 2 (RAND r , RAND 2 ) dargestellt, wobei die Aufteilung 
mittig "erfolgt. Teil 1 enthalt bit Ibis bit 64, Teil 2 enthalt bit 
65 bis bit 128. In Fig. 3c ist eine iiberlappende Aufteilung 
angegeben und in der Fig. 3d ist eine Aufteilung dargestellt, 
bei der jeweils die ungeradzahligen bits dem Teil 1 und die 
geradzahligen bits dem Tbil 2 zugeordnel sind. Fig. 3e zeigt 
schlieBlich eine Aufteilung, bei der die Summe der Binar- 
stellen der Teile 1 und 2 kleiner ist als die Binarstellen des 
Ausgangsschliissels bzw. der Ausgangszufallszahl. 

Patentanspriiche 

1. Verfahren zur Authentisierung einer Chipkarte 
(SIM) in einem Netzwerk zur Nachrichtenubertragung, 
vorzugsweise in einern GSM-Netzwerk, bei dem in ei- 
ner Chipkarte (SIM) ein Algorithmus sowie ein gehei- 
mer Schliissel gespeichert sind, wobei zur Authentisie- 
rung 

- zunachst vom Netzwerk oder einer Netzwerk- 
komponente eine Zufallszahl (RAND) an die 
Chipkarte ubertragen wird, 

- in der Chipkarte daraus mittels des Algorilh- 
mus und des geheimen Schliissels (Ki) ein Ant- 
wortsignal (SRES) erzeugt und an das Netzwerk 
bzw. die Netzwerkkomponente ilbermittelt wird, 
dadurch gekennzeichnet, daB 

- zur Bildung eines Authentisierungsparameters 
der geheime Schlussel (IQ) sowie die Zufallszahl 
(RAND) in jeweils wenigstens zwei Teile (Ki, K 2 ; 
RANDi, RAND^ aufgeteilt werden, 

- einer der Teile (RANDi, RANDJ der ubertra- 
genen Zufallszahl (RAND) mit HiLfe eines oder 
mehrerer Teile (Ki, K 2 ) des geheimen Schliissels 
(Ki) mittels eines ein- oder mehrstufigen, vorzugs- 
weise syrnmetrischen Algorithmus verschliisselt 
werden, und 

- eine vorgegebene Anzahl von Bits aus dem 
Verschliisselungsergebnis ausgewahll und als Si- 
gnalantwort (SRES) an das Netzwerk ubertragen 
wird. 

2. Verfahrerj nach Anspruch 1, dadurch gekennzeich- 
nct, daB der geheime Schliissel (K[) und/oder die Zu- 
fallszahl (RAND) in zwei Teile aufgeteilt werden. 

3. Verfahren nach Anspruch 1 oder 2, dadurch gekenn- 
zeichnet, daB ein Teil der iibertragenen Zufallszahl 
(RAND) sowie ein und/oder weitere Teile des gehei- 
men Schliissels (Ki) zur Berechnung eines Kanalkodie- 
rungsschliissels (Kc) mittels eines ein- oder mehrstufi- 
gen Algorithmus verwendet werden, wobei zumindest 
ein Teil des Berechnungsergebnisses als Kanalkodie- 
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rungsschlussel (JQ) verwendet wird. 

4. Verfahren aach einem der Anspriiche 1 bis 3, da- 
durch gekennzeichnet, daB der Schlussel (E4) sowie die 
Zufallszahl (RAND) in zwei gleich lange Teile (K b 
K2/RAND1, RAND2) aufgeteilt werdeo. 5 

5. Verfahren nach einem der Anspriiche 1 bis 4, da- 
durch gekennzeichnet, daB 7.ur Berechnung der Au- 
thentifizierungsparameter (SRES, SRES*) und/oder des 
Kanalkodierungsschlussels (KJ DES-Algorithmen 
verwendet werden. 10 

6. Verfahren nach einem der Anspriiche 1 bis 4, da- 
durch gekennzeichnet, dafi zur Berechnung der Au- 
thentisierungsparameter (SRES, SRES') und/oder des 
Kanalkodierungsschlussels (KJ der, vorzugsweise ein- 
stufige, IDEA-Algorithmus verwendet wird. L5 

7. Verfahren nach einem der Anspriiche 1 bis 4, da- 
durch gekennzeichnet, daB zur Berechnung der Au- 
thentisierungsparameter (SRES, SRES') und/oder des 
Kanalkodierungsschlussels (Kc) ein Komprimierungs- 
algorithmus verwendet wird, dessen Ausgabewert eine 20 
geringere Lange als der Eingabeparameter aufweist. 

8. Verfahren nach einem der Anspriiche 1 bis 7, da- 
durch gekennzeichnet, daB die Berechnung in einem 
mindeslens zweisLufigen AlgoriLhiiius erfolgl. 

9. Verfahren nach einem der Anspriiche 1 bis 8, da- 25 
durch gekennzeichnet, daB als Verschliisselungsalgo- 
rithmus ein Triple-DES-Algorithmus verwendet wird, 
bci dem zunachst mit dem crstcn Tcil (Ki) des Schliis- 
sels (Kj) verschliisselt, anschlieBend mit dem zweiten 
Teil (KJ des Schliissels (KJ entschliisselt und darauf 30 
wieder mit dem ersten Teil (Ki) oder einem dritten Teil 
des Schliissels (KJ verschliisselt wird 

10. Verfahren nach einem der Anspriiche 1 bis 9, da- 
durch gekennzeichnet, daB eine Auswahl des ersten 
oder zweiten Teils der Zufallszahl (RAND) im zufalli- 35 
gen oder pseudozufalligen Wechsei in der Karte und im 
Netzwerk in gleicher Weise erfolgt. 
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Fig.3c 
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Fig. 3d 
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